Госдума приняла законопроект, который позволит банкам и другим финансовым организациям передавать работу с конфиденциальными данными сторонним ИТ-компаниям. Подрядчики смогут обрабатывать банковскую тайну, персональные данные клиентов и другую закрытую информацию, в том числе с помощью облачных сервисов. Получать отдельное согласие каждого клиента на такую передачу не потребуется. Закон должен вступить в силу через год после официального опубликования.

Правила распространяются не только на банки, но и на страховые компании, негосударственные пенсионные фонды и бюро кредитных историй. При этом передавать данные разрешат не любым подрядчикам, а только аккредитованным ИТ-компаниям и банкам с государственным участием, имеющим универсальную лицензию.

Для дочерних структур иностранных банков предусмотрено отдельное правило — они смогут поручать обработку данных иностранной кредитной организации. Для этого потребуются согласования ЦБ, ФСБ и Росфинмониторинга, а также соблюдение ряда условий, отмечает партнёр Kept Илья Шаленков.

Перед передачей данных банк должен уведомить Центробанк и предоставить заключение по итогам проверки безопасности подрядчика. Такой аудит должна провести организация с лицензией ФСТЭК или ФСБ. Передавать информацию можно будет через 60 дней после уведомления, если регулятор за это время не запретит передачу. Серверы подрядчика должны находиться в России, а сама компания — ежегодно проходить аудит. Кроме того, по словам Шаленкова, о происшествиях в сфере кибербезопасности она должна будет сообщать в течение двух часов.

Эксперт по цифровой трансформации финансового сектора Ольга Бледнова считает, что закон закрепляет на законодательном уровне практику, которую банки уже используют — привлечение ИТ-подрядчиков и облачных сервисов. Раньше передача банковской тайны сторонним компаниям была ограничена, поэтому некоторые подобные решения, по её словам, приходилось использовать в правовой неопределённости.

Банковская тайна по-прежнему останется информацией ограниченного доступа, а исполнители должны будут соблюдать установленные требования к защите данных.